信息安全管理中，管理远程用户访问长期以来就是一项矛盾突出，并且十分艰巨的任务。远程访问所带来的安全隐忧远比企业内部网络的压力大得多。
互联网作为企业运作基础架构，愈来愈多移动工作者在外利用PDA或笔记本电脑连网，以取得文档资料或ERP信息，甚至是数千公里以外的分支机构需要访问总部的核心数据区。这些安全疑虑也带来了VPN接入、用户身份管理、访问行为控制等一系列的安全防御需求。
因为看不到，所以不安全
建立信息安全保护框架的通用法则包括：安全防御的完备性、一致性与有效性。完备性，是指安全保护框架不应有安全漏洞；一致性，是指安全保护框架中的所有终端具有同样的安全防御功能；有效性，是指安全保护框架中的一个计算机信息系统所实现的安全策略和安全机制,符合用户的当前需要。
远程客户端与这一法则矛盾之处就在于，它们不受网络资源拥有者控制和管理，因为较之本地资源，技术人员对远程客户端的接触通常会受到更多的限制。
例如：依据Internet无处不在的特点，给用户带来了远程资料共享和异地办公的便利条件，也给病毒和黑客带来了一种入侵企业核心数据的新途径。远程访问客户端所在的网络可能充满了混合攻击，开放这些网络对企业的访问就可能成为不法分子攻击企业核心网络的跳板。
虽然可以通过限制端口等策略进行抵御，但终端客户机的安全我们仍然无法保证，技术人员对于这些工作的计算机管理权限将会微乎其微，有的时候根本接触不到，除非用户将计算机拿到你的办公室来。因此，在网络中，“眼不见，心不烦”的情况十分危险。
分支机构的安全保障
大多情况下，分公司和企业数据中心间的VPN连接需要两台端点VPN设备或服务器以及Internet。在建立对本地ISP的高速连接后，可通过VPN设备或服务器建立VPN隧道，以便分公司能访问企业资源。
这类连接也可用于促进企业网络上的管理员对分公司系统进行远程管理，但将分支机构的每台客户端进行安全加固似乎成为了不可能完成的任务。人们开始热衷于是构建一个“完整的”网络接入控制解决方案——“可信接入”。
目前出现了几种安全接入技术，这些技术的主要思路是从终端着手，通过管理员指定的安全策略，对接入私有网络的主机进行安全性检测，自动拒绝不安全的主机接入保护网络，直到这些主机符合网络内的安全策略为止。
目前具有代表性的技术包括：思科的网络接入控制NAC（Network Access Control）技术，微软的网络访问保护技术NAP（Network Access Protection）以及TCG组织的可信网络连接TNC（Trusted Network Connect）技术等。
就原理来说，三种安全接入技术都是将访问网络的客户端置于同一个安全等级。通过对网络中各种设备（包括路由设备、安全设备等）、安全机制、安全信息的综合管理与分析，对现有安全资源进行有效管理和整合。
而根据部署应用方面看，更多人看中了NAC与NAP已经缔结良缘的现实，即网络接入设备上采用思科的NAC技术，而主机客户端上则采用微软的NAP技术，从而达到了两者互补的局面，有利于其进一步发展。
而在实际工作中，NAP部署过程要比想象的容易很多。例如将一台Windows Longhorn Server设置为DC（域控制器），在此计算机上安装AD（活动目录服务）、DNS和Network Access Services，在安装Network Access Services时，选择安装其中的Router and Remote Access，这样就完成了基本平台的准备工作。
而配置Network Policy Server的时候，更是有众多的安全模版可以配合选择。简单的配置，就可以实现企业管理接入到企业中的计算机必须符合企业的安全标准，只有符合企业标准的计算机才能够访问公司的内部网络，不符合标准的计算机被限制在企业的网络之外。
NAP的设计也将会得到更多安全厂商的支持，这都将适合于合作伙伴或者分支机构的计算机接入企业网络的场景。
1
2
下一页>>
